As quatro medidas exigíveis
O Anexo II do Real Decreto 311/2022 agrupa no quadro organizativo quatro medidas: política de segurança (org.1), normativa de segurança (org.2), procedimentos de segurança (org.3) e processo de autorização (org.4).
Ao contrário de boa parte das medidas do ENS, estas quatro não dependem do nível: exigem-se por igual nas categorias básica, média e alta. Por isso são o primeiro bloco que convém fechar, e aquele que um auditor dá como certo que existe antes de entrar na parte técnica.
Política de segurança
É o documento de que depende tudo o resto, e o único cujo conteúdo mínimo é fixado pelo próprio real decreto: o artigo 12, «Política de seguridad y requisitos mínimos de seguridad» (política de segurança e requisitos mínimos de segurança), enumera o que não pode faltar.
Esses mínimos são os objetivos ou a missão da organização, o quadro regulamentar em que as suas atividades se desenvolvem, as funções de segurança com os deveres e responsabilidades de cada uma, a estrutura e composição do comité ou dos comités que gerem e coordenam a segurança, as diretrizes para estruturar a documentação de segurança do sistema e os riscos decorrentes do tratamento de dados pessoais.
Dois pontos concentram quase todas as constatações de auditoria. O primeiro, a aprovação: uma política sem registo de quem a aprovou e quando não comprova o respaldo da gestão que o ENS lhe pressupõe. O segundo, as funções: o real decreto dedica um artigo próprio à diferenciação de responsabilidades, pelo que nomear uma só pessoa para tudo é precisamente o que se pretende evitar.
Normativa de segurança
A normativa traduz a política para os assuntos concretos sobre os quais as pessoas perguntam: utilização dos equipamentos e do e-mail, acesso remoto, dispositivos móveis e pessoais, suportes amovíveis, palavras-passe, teletrabalho.
A diferença em relação a um procedimento é a que separa uma regra de uma instrução: a normativa diz o que é permitido, o que não é e o que acontece em caso de incumprimento; o procedimento diz como se faz e quem o faz. Confundi-las produz documentos longos que ninguém aplica, e é motivo habitual de constatação.
Procedimentos de segurança
Os procedimentos descrevem as atividades de segurança passo a passo: quem intervém, por que ordem, com que registo fica a evidência e para quem se escala se algo sair do previsto.
O critério para saber quais são necessários é prático: se uma tarefa de segurança se repete e o seu resultado tem de poder ser demonstrado —criação e eliminação de utilizadores, gestão de incidentes, cópias de segurança e o seu restauro, retirada de suportes—, precisa de procedimento escrito e não basta o hábito da equipa.
Processo de autorização
A última medida do bloco fecha a porta de entrada: nada é incorporado no sistema sem uma autorização prévia e rastreável. Aplica-se às instalações, aos equipamentos e aplicações que entram em produção, aos suportes de informação, aos meios de comunicação e à contratação de serviços a terceiros.
O que transforma esta medida em algo mais do que uma formalidade é deixar escrito quem autoriza cada coisa e com que critérios. Se a autorização for um e-mail solto, a evidência perde-se; se for um fluxo com responsável, critério e registo, a autorização pode ser auditada anos depois.
O que o auditor costuma pedir
- Política de segurança aprovada pela gestão, com data e registo da aprovação
- Os seis conteúdos mínimos do artigo 12 cobertos na política
- Comité de segurança constituído, com composição e funções escritas
- Funções de segurança atribuídas a pessoas diferentes, com deveres e responsabilidades
- Normativa de segurança documentada, divulgada e com evidência da sua comunicação
- Procedimentos de segurança escritos para as atividades que é preciso demonstrar
- Processo de autorização ativo para instalações, equipamentos, aplicações, suportes e serviços de terceiros
Como cobrir este bloco no Kimobox
- 1Documente a política e a normativa de segurança como documentos controlados.
- 2Registe o processo de autorização de componentes como fluxo de aprovação no Kimobox.
- 3Comunique a normativa a todo o pessoal envolvido a partir do portal do colaborador.
A política e a normativa de segurança ficam com versões e com evidência da sua comunicação à equipa.
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 de maio de 2022
- Guias CCN-STIC do ENS Centro Criptológico Nacional · Séries em vigor